docs: document minimal multi-cloud landing zone baseline

docs/Multi-Cloud-Landing-Zone-Planning.md

@@ -88,3 +88,55 @@
    - 引入服务网格、跨云应用编排等高级能力。
 
 通过以上规划，可以在多云环境中构建安全、可控、可扩展的 Landing Zone，为业务跨云部署与弹性伸缩提供坚实基础。
+
+## 附录：最小合规 Landing Zone Baseline 抽象方法
+
+在多云实践中，不同云厂商的原生能力差异明显，但可以通过“公共基线层 → 差异化适配层”的方式构建统一的最小合规框架，降低运维复杂度与成本。
+
+### 1. 公共基线要素（跨云统一抽取）
+
+| 类别 | 公共要素 | 最低成本实现思路 |
+| --- | --- | --- |
+| 账号/身份治理 | 非 root/主账号运行；最小权限 IAM/RAM 角色；多环境账号/项目隔离 | 通过 OIDC 联邦对接（如 GitHub Actions/GitLab CI → 各云 IAM/OIDC Provider），避免长期 AccessKey |
+| 网络基线 | 至少一个 VPC/VNet，分出管理/应用/DMZ 子网；默认 deny all 出入口策略 | 使用基础 VPC 与防火墙规则模板，暂不引入复杂 NAT/Transit Gateway 以降低成本 |
+| 安全合规 | 日志审计（API 操作日志）、KMS 密钥、基本安全组 Guardrail（禁用 0.0.0.0/0:22） | 充分利用各云免费层审计日志（CloudTrail、ActionTrail、Vultr API logs），KMS 选择最低规格 |
+| 监控运维 | 系统指标（CPU/Mem/Disk/Net）、计费/费用告警、日志收集出站接口 | 指标与日志统一推送到外部监控中心（Prometheus/Grafana、VictoriaMetrics、Loki） |
+| 成本治理 | Tag 策略（Owner/Env/CostCenter）、预算告警 | 结合各云 billing API 与外部成本 Dashboard（OpenCost 或自研） |
+
+### 2. 差异化适配层（云厂商差异 → 模块封装）
+
+- **身份治理**：
+  - AWS 使用 IAM Roles 与 Organizations。
+  - 阿里云使用 RAM 角色与资源目录。
+  - Vultr 通过 Project/Team 与 API Key 管理。
+  - 在 IaC 中封装 `module.identity`，对外只提供 `create_role`、`attach_policy` 等统一接口。
+- **日志审计**：
+  - AWS 采用 CloudTrail + CloudWatch。
+  - 阿里云结合 ActionTrail + 日志服务（SLS）。
+  - Vultr 利用原生 Audit Logs。
+  - 将差异资源封装为 `module.audit`，统一出口投递至外部 Loki/Elasticsearch。
+- **监控指标**：
+  - AWS 使用 CloudWatch Metrics。
+  - 阿里云使用云监控（CloudMonitor）。
+  - Vultr 提供基础主机指标 API。
+  - 通过 `module.metrics` 封装，统一对接 Prometheus RemoteWrite。
+
+### 3. 外部监控与运维接入
+
+- **指标采集**：通过各云 API（CloudWatch、云监控、Vultr Metrics API）由 exporter 或 OpenTelemetry Collector 抽取，并 RemoteWrite 至外部 Prometheus 或 VictoriaMetrics。
+- **日志采集**：聚焦控制平面日志，利用审计日志 API 推送到外部 Loki/OpenObserve，避免采集全部 VM 应用日志所带来的成本。
+- **事件与告警**：统一消费各云 billing/alert API，将消息转换为 CloudEvents 格式后写入外部事件总线（NATS、Redis Streams），再由 Grafana/Alertmanager 处理。
+
+### 4. 最低成本与统一框架实践策略
+
+- **统一 IaC 基线模板**：使用 Terraform 或 Pulumi 构建 `module.baseline`，抽象身份、日志、网络、监控等公共能力，差异部分由适配层实现。
+- **外部统一运维平台**：部署一套 Prometheus + Loki + Grafana（自建或低成本托管，如 Grafana Cloud 免费层）作为统一观测枢纽。
+- **最小资源开销**：
+  - 每云只需 1 个 VPC，划分管理与应用子网即可。
+  - 仅启用 1 条日志审计链路，将数据存储到成本最低的对象存储冷存层。
+  - 通过 OIDC 联邦替代多套长期 AK/SK。
+- **多云一致性保障**：
+  - 外部运维平台只关注统一的指标与日志 Schema。
+  - 云端差异通过适配层透明化，确保治理策略与 guardrail 在所有云环境一致落地。
+
+通过该附录的方法，可以在保留本文既有规划的前提下，进一步统一多云 Landing Zone 的最小合规能力，实现“统一身份、最小网络、必备日志、安全监控”四大基线组件，并在成本受控的情况下快速推广。